Il D.Lgs. 24/2023 italiano, spiegato

Non la prima legge italiana sul whistleblowing, ma la prima organica

La Direttiva UE sul whistleblowing — Direttiva (UE) 2019/1937 — obbliga le aziende con 50 o più dipendenti nell'UE a dare ai propri lavoratori un modo protetto e interno per segnalare comportamenti scorretti; vedi la Direttiva, spiegata per la base completa su cui si fonda ogni Stato membro.

L'Italia aveva già una tutela per il whistleblowing prima che esistesse la Direttiva — la Legge 179/2017 dava ai dipendenti pubblici il diritto di segnalare illeciti senza subire ritorsioni. Il D.Lgs. 24/2023, in vigore dal 15 luglio 2023, non modifica quella legge; la abroga del tutto (art. 23) e la sostituisce con un unico regime che copre allo stesso modo enti pubblici e privati. È uno schema diverso da quello della Germania, il cui HinSchG ha costruito una legge nuova da zero, e più vicino al modo in cui la Francia ha modificato una legge esistente — se non che l'Italia ha scelto una rottura netta invece di una modifica in continuità. Il risultato mantiene i meccanismi fondamentali della Direttiva — la soglia dei 50 dipendenti, il termine di 7 giorni/3 mesi, un'ampia protezione dalla ritorsione — oltre ad alcuni punti in cui il testo italiano va oltre quanto richiede la Direttiva.

Tre vie di ingresso separate nell'ambito di applicazione, non solo il numero di dipendenti

L'articolo 2, comma 1, lettera q), definisce quali enti privati sono coperti, e il numero di dipendenti è solo uno dei tre modi per rientrarvi:

• La regola generale — una media di almeno 50 dipendenti (a tempo indeterminato o determinato) nell'ultimo anno.
• Settori regolamentati, indipendentemente dal numero di dipendenti — gli enti operanti nei servizi e mercati finanziari, o nell'antiriciclaggio/contrasto al finanziamento del terrorismo, rientrano nell'ambito anche con un solo dipendente.
• Qualsiasi ente dotato di un modello ai sensi del D.Lgs. 231/2001, indipendentemente dal numero di dipendenti — se una società ha adottato un modello organizzativo e gestionale ai sensi del regime italiano sulla responsabilità amministrativa degli enti, è coperta anche in questo caso, sebbene il suo ambito materiale sia più ristretto (solo segnalazione interna delle violazioni relative al modello) a meno che non superi anche la soglia dei 50 dipendenti.

Il settore pubblico non ha alcun requisito di numero di dipendenti: ogni pubblica amministrazione è coperta.

Quanto ai tempi, l'Italia segue la stessa struttura a due livelli della Germania: la data generale di efficacia è il 15 luglio 2023, ma gli enti privati con una media fino a 249 dipendenti hanno avuto tempo fino al 17 dicembre 2023 specificamente per l'obbligo relativo al canale interno (art. 24, comma 2).

Dove una violazione costa davvero

L'articolo 21 conferisce all'ANAC un vero potere sanzionatorio amministrativo diretto — non una via di applicazione indiretta tramite un'altra autorità. Tre livelli:

• 10.000-50.000 € — per ritorsione accertata, per aver ostacolato (o tentato di ostacolare) una segnalazione, o per aver violato l'obbligo di riservatezza previsto dall'art. 12.
• 10.000-50.000 € — per non aver istituito affatto un canale di segnalazione, per non aver adottato una procedura conforme (o averne adottata una che non rispetta gli artt. 4-5), o per non aver effettivamente verificato e analizzato le segnalazioni ricevute. Da notare: l'Italia colloca "nessun canale esistente" nella stessa fascia della ritorsione attiva. È una scelta di progettazione reale, non una svista — vedere la sezione di confronto più sotto.
• 500-2.500 € — la fascia più bassa, rivolta a chi segnala anziché all'ente: si applica quando una persona segnalante è ritenuta civilmente responsabile, anche con sentenza di primo grado, per diffamazione o calunnia commessa con dolo o colpa grave (art. 16, comma 3), a meno che non sia già stata condannata penalmente per la stessa condotta.

A differenza del moltiplicatore basato sull'OWiG tedesco o dell'art. 131-38 del Code pénal francese, l'art. 21 non prevede un tetto separato e più alto per una persona giuridica — la sanzione si applica a chiunque l'ANAC ritenga responsabile della violazione, che nella pratica è l'organo di governo o il rappresentante legale dell'ente piuttosto che una cifra societaria distintamente moltiplicata.

Segnalazione anonima: nessun obbligo a monte, ma la protezione vi segue se in seguito venite identificati

Il D.Lgs. 24/2023 non richiede che un canale interno sia costruito per accettare invii anonimi — come la Germania, l'Italia lascia aperta quella scelta operativa invece di imporla. Dove il testo italiano è più esplicito della maggior parte è l'art. 16, comma 4: le stesse protezioni che si applicano a chi segnala con il proprio nome si applicano integralmente anche a chi segnala in forma anonima, se in seguito viene identificato e subisce ritorsioni di conseguenza. Non è lasciato all'inferenza da un principio generale — è scritto direttamente nella norma. Provoxis non aspetta che quello scenario si verifichi: la segnalazione anonima è sempre attiva, senza bisogno di alcuna configurazione — vedere segnalazione anonima o identificata, spiegata.

I vostri sindacati hanno un posto al tavolo previsto dalla legge, non derivato da una sentenza

L'articolo 8, paragrafo 1, della Direttiva richiede agli Stati membri di garantire che i canali interni siano predisposti previa consultazione delle parti sociali, laddove previsto dal diritto nazionale — lo stesso principio base trattato in cosa richiede davvero un canale conforme. L'Italia scrive questo obbligo direttamente nell'articolo operativo che istituisce il canale stesso: l'art. 4, comma 1, richiede sia agli enti pubblici sia a quelli privati di consultare ("sentite") le proprie rappresentanze sindacali — le strutture RSU/RSA definite dall'art. 51 del D.Lgs. 81/2015 — prima di attivare un canale di segnalazione interno. È una base più solida di quella tedesca, dove il diritto discende dalla giurisprudenza sui consigli aziendali piuttosto che dal testo stesso della legge sul whistleblowing, e di quella francese, dove si trova in un decreto attuativo piuttosto che nella legge stessa.

Una rete più ampia del minimo della Direttiva, e la crittografia non è facoltativa

Due caratteristiche rendono il D.Lgs. 24/2023 degno di una lettura dedicata invece che di una nota a piè di pagina della Direttiva:

• Ambito materiale più ampio. L'elenco della Direttiva delle materie coperte è piuttosto ristretto — appalti pubblici, servizi finanziari, sicurezza dei prodotti e simili. L'articolo 2, comma 1, lettera a), incorpora quell'elenco come una categoria tra diverse altre, ma copre anche separatamente illeciti amministrativi, contabili, civili o penali generali che ledono l'interesse pubblico o l'integrità di un'organizzazione, oltre a qualsiasi violazione del modello di conformità di una società ai sensi del D.Lgs. 231/2001. Una segnalazione non deve necessariamente ricondursi a un settore regolamentato dall'UE per contare.
• La crittografia è scritta nella legge stessa, non lasciata a linee guida. Sia l'art. 4, comma 1 (canali interni), sia l'art. 7, comma 1 (il canale esterno dell'ANAC), richiedono che la riservatezza sia garantita "anche tramite il ricorso a strumenti di crittografia" — come requisito di legge esplicito, non una raccomandazione di buona prassi aggiunta successivamente da una linea guida regolatoria.

L'articolo 14, comma 1, fissa inoltre un tetto massimo di conservazione previsto per legge: le segnalazioni e la documentazione correlata possono essere conservate per non più di cinque anni dalla data in cui viene comunicato l'esito finale. Vedere scegliere una politica di conservazione per come si confronta questo con i livelli di conservazione propri di Provoxis.

Basta un indirizzo email o una PEC?

Solo con contromisure motivate. Le Linee guida ANAC sui canali interni (Linee guida n. 1/2025, approvate con delibera n. 478 del 26 novembre 2025) stabiliscono che il ricorso alla posta elettronica, ordinaria o certificata, deve essere considerato di per sé non adeguato a garantire la riservatezza dell'identità della persona segnalante, se non accompagnato da specifiche contromisure giustificate come misure di mitigazione del rischio nella valutazione d'impatto sulla protezione dei dati. Il motivo indicato dall'ANAC è che i sistemi di posta generano e conservano in modo generalizzato i log di invio e ricezione dei messaggi, e che il rischio di risalire al segnalante è ancora maggiore se usa la casella fornita dal datore di lavoro. Le stesse Linee guida (par. 2.2) chiedono inoltre di garantire sia la forma scritta sia quella orale. Vedere «Email e PEC sono un canale whistleblowing conforme?» per cosa dovrebbe garantire una casella email, e «Si può usare Google Moduli come canale whistleblowing?» per l'alternativa di un modulo online.

Un unico canale esterno per tutti, con l'ANAC come porta d'ingresso

Mentre la Germania suddivide il proprio canale esterno in tre per materia, l'Italia centralizza: l'ANAC gestisce l'unico canale esterno di segnalazione sia per il settore pubblico sia per quello privato (art. 7). Se una segnalazione ricevuta dall'ANAC rientra effettivamente nell'ambito di un'altra autorità, l'ANAC la inoltra e informa chi segnala che è stata reindirizzata — e quell'autorità ricevente deve poi applicare le stesse garanzie di riservatezza che avrebbe applicato l'ANAC stessa (art. 8, comma 2). Chi segnala non deve mai indovinare quale tra più enti contattare per primo.

Cosa significa questo se state confrontando l'Italia con un altro Stato membro

Italia e Germania arrivano allo stesso tetto massimo — fino a 50.000 € — ma lo suddividono in modo diverso. La Germania riserva i 50.000 € alla condotta peggiore (ritorsione, ostruzionismo, violazione dolosa della riservatezza) e fissa un tetto molto più basso, a 20.000 €, per il semplice non avere un canale, trattandolo come la mancanza minore. L'Italia colloca "nessun canale esistente" nella stessa fascia di 10.000-50.000 € della ritorsione attiva (art. 21, comma 1, lett. a)-b)) — secondo il diritto italiano, non aver mai costruito un canale conforme in primo luogo è esposto alla stessa sanzione massima di chi punisce qualcuno per averne usato uno. È un giudizio regolatorio davvero diverso su quale mancanza sia peggiore, non solo un numero diverso.

Base giuridica

• Art. 1, comma 1, D.Lgs. 24/2023 — l'ambito materiale: violazioni del diritto nazionale o dell'Unione che ledono l'interesse pubblico o l'integrità di un'organizzazione.
• Art. 2, comma 1, lett. q), D.Lgs. 24/2023 — le tre vie di ingresso nell'ambito del settore privato: la soglia dei 50 dipendenti, i settori regolamentati e i modelli ai sensi del D.Lgs. 231/2001.
• Art. 3, comma 2, D.Lgs. 24/2023 — come si restringe l'ambito materiale per gli enti coperti solo tramite la via del modello 231.
• Art. 4, comma 1, D.Lgs. 24/2023 — l'obbligo del canale interno, il requisito di consultazione sindacale previsto dalla legge, e il requisito di crittografia.
• Linee guida ANAC n. 1/2025 sui canali interni di segnalazione, approvate con delibera n. 478 del 26 novembre 2025 — forma scritta e orale entrambe da garantire (par. 2.2); posta elettronica ordinaria e PEC di per sé non adeguate senza contromisure motivate.
• Artt. 7-8, D.Lgs. 24/2023 — il canale esterno dell'ANAC, il suo obbligo di crittografia, e l'obbligo di inoltro quando una segnalazione esula dal proprio ambito.
• Art. 12, D.Lgs. 24/2023 — l'obbligo di riservatezza, il suo ambito e i suoi limiti nei procedimenti disciplinari e giudiziari.
• Art. 14, comma 1, D.Lgs. 24/2023 — il tetto massimo di conservazione previsto per legge, pari a cinque anni.
• Art. 16, commi 3-4, D.Lgs. 24/2023 — la perdita della protezione per segnalazioni in malafede, e la protezione retroattiva per chi segnala in forma anonima e viene poi identificato e subisce ritorsioni.
• Art. 21, D.Lgs. 24/2023 — i poteri sanzionatori amministrativi dell'ANAC e tutte e tre le fasce di sanzione.
• Art. 24, D.Lgs. 24/2023 — la tempistica transitoria: 15 luglio 2023 in generale, 17 dicembre 2023 per gli enti fino a 249 dipendenti.
• Art. 8, par. 1, Direttiva (UE) 2019/1937 — il minimo comune a livello UE che richiede la consultazione delle parti sociali, che l'Italia attua direttamente nell'art. 4, comma 1, invece che tramite giurisprudenza o un decreto separato.